это был взлом modx evo ???

Добрый день!

На сайт в статику залили кучу (3,5к) страниц, вместе со сгенерированным sitemap.xml и rss файлами, запустили все это в индексацию (пытались убить сайт в поисковой выдаче).

Вопрос: могли ли они это сделать через MODX ? EVO 1.0.2 .
Дело в том, что в логах FTP ничего нет (запросил у хостера) - нет фактов заливки этих файлов.

Спасибо за подсказку!

Добрый.

Чисто теоретически, в админке есть файловый менеджер, который позволяет загружать файлы. Но честно говоря очень сомневаюсь, что кто-то это будет делать вручную.

Скорее всего на локальном компьютере завелась вредоносная программа, которая и «украла» пароль от фтп (несмотря на ответ хостера, думаю файлы заливались именно через него). Я конечно могу ошибаться в том, как работают подобные вирусы, но всё же всем знакомым, у которых PC, советую использовать именно portable-версии программ для работы по фтп.

Попросите хостера восстановить копию сайта до атаки (если надо — сделайте резервную копию базы данных), поменяйте все пароли, которые относятся к этому сайту (если поменяете пароль mysql — не забудте внести изменение в конфигурационный файл), обязательно обновите modx evo до последней версии, проверте все компьютеры, на которых осуществляется доступ к серверу по фтп, на вирусы.

Чисто теоретически, в админке есть файловый менеджер, который позволяет загружать файлы. Но честно говоря очень сомневаюсь, что кто-то это будет делать вручную.

Хотя... использование какой-нибудь уязвимости старой системы, чтобы внедрить скрипт, который и будет генерировать новые файлы? ... Не сталкивался с таким. Проверьте еще все сниппеты на вашем сайте. Но выход имхо всё равно только один — как я описал выше.

Это все понятно.
Мне интересно найти дыру.
Чтобы такого не повторилось.

Сейчас мы обнаружили эту "подскадку" пчти случайно, когда сеошник увидел что на сайт заходы пошли на дурацкие страницы типа "как связать девушку" или "как готовить креветки".

Варианты:
1. Взлом ФТП (к несчастью hc.ru при любом изменении пароля присылает этот пароль на имейл. Сразу же сменили пароли имейлов, и поменяли пароли фтп. Пароли были изначально только у меня и у директора. И.... у разработчика програмки автоматической заливки прайсов... но ему-то зачем?). Но - пустые логи. В логах есть инфа как я удалял эти файлы, но нет инфы как они заливались.
2. Работали через webFTP (возможно поэтому логов нет)
3. Взлом CMS

я писал об уязвимости https://forums.modx.com/thread/74425/modx-1-0-5#dis-post-412924
То есть, уязвимость заключается в возможности выполнения некоторых тегов шаблонизатора MODx, посылая их через GET/POST.
Для возникновения описанной уязвимости требуется:
1) наличие сниппета, который принимает во входных параметрах PHP-код (и в дальнейшем EVAL-и его)
2) сниппет, который напрямую без обработки выводит содержимое какого-либо GET/POST-параметра (не параметра сниппета!). eForm я попроверял, вроде бы он фильтрует вывод.

В противном случае максимум, что возможно — запустить на выполнение произвольный сниппет с произвольными параметрами, что тоже не очень-то хорошо (напр. можно просканировать структуру сайта, увидеть неопубликованные страницы и т.д.)

Ну и как сказали выше, через FTP и в основном такое наблюдается любителем клиента FileZilla сохранять пароли (да и не только в нём... в ообще нужно исключить хранения паролей на софтах)